Výnimky VPN pre jednotlivé aplikácie sa pokazia, keď dáta načíta zdieľaná služba

Vylúčite jednu aplikáciu z VPN a stiahnutie, ktoré potrebovala, stále zlyháva, alebo horšie, začne fungovať a niečo nesúvisiace sa zastaví. Viditeľné okno nemusí byť proces, ktorý otvára každé spojenie: aplikácia môže prácu odovzdať pomocníkovi, službe prenosu na pozadí alebo úplne inému balíku. Pravidlo pre jednotlivú aplikáciu preto potrebuje skutočný model identity platformy, nie známy názov spúšťacieho súboru. Kontroly nižšie začínajú pozorovaním a vracajú sa k tomu, kto požiadavku skutočne odoslal.

V týchto tiketoch sa zvyčajne pokazia dve veci naraz: vylúči sa nesprávna komponenta a výnimka sa potom nikdy nezúži.

Nájdite proces, nie okno

Zreprodukujte neúspešnú operáciu a identifikujte proces alebo balík, ktorý spojenie vlastní, kým prebieha. Vo Windows je to iná otázka než to, ktoré okno má fokus, pretože prenos na pozadí môže sprostredkovať služba bežiaca pod vlastnou identitou. V Linuxe a macOS sa rovnaké rozdelenie objavuje ako pomocné procesy a systémové démoni.

Zapíšte tri podrobnosti: identitu spustiteľného súboru alebo balíka, cieľ, s ktorým komunikoval, a okamih v pracovnom postupe, keď sa to stalo. Stiahnutie, ktoré zlyhá na začiatku, je často načítaním metadát inou komponentou než stiahnutie, ktoré zlyhá v polovici. Samotný tento rozdiel zvyčajne stačí na výber správnej identity predtým, než sa dotknete pravidla. Ak sa identita ukáže ako služba a nie aplikácia, tento jediný fakt mení celé pravidlo, preto ho najprv zistite.

Ak proces nemôžete pozorovať, pretože operácia je príliš krátka, zopakujte ju s väčším objemom dát alebo pomalším cieľom. Cieľom je jedno opakovateľné pozorovanie, nie teória o tom, ktorý pomocník je zapojený.

Berte DNS ako vlastnú cestu

Systémové prekladanie názvov nemusí vylúčenú aplikáciu vôbec nasledovať, a preto vylúčený prehliadač môže stále zlyhať na súkromnom názve hostiteľa, aj keď jeho prevádzka správne zostáva mimo tunela. Prehliadač bol vylúčený; prekladač nie.

Skontrolujte, čo platforma robí s DNS, keď platí pravidlo pre jednotlivú aplikáciu, a skontrolujte to oddelene od požiadavky HTTP. Ak je prekladač zdieľaná služba, obsluhuje každú aplikáciu v zariadení, takže výnimka, o ktorej uvažujete, má oveľa širšie publikum než tá, ktorú ste testovali.

Zaznamenajte, ktorý prekladač odpovedal a cez ktoré rozhranie. Toto jediné pozorovanie rieši veľkú časť správ „aplikácia je vylúčená, ale názov sa neprekladá“, preto ich uchovajte pri tikete.

Nerozširujte zdieľaného pomocníka

Zdieľaná služba vykonáva prácu pre niekoľko aplikácií, takže jej vylúčenie kvôli oprave jedného pracovného postupu mení aj nesúvisiacu prevádzku. Background Intelligent Transfer Service vo Windows je dobrým príkladom tohto tvaru: je to infraštruktúra, ktorú môže používať mnoho aplikácií, a jej identita nie je identitou aplikácie, ktorá požiadala o prenos.

Pred pridaním tejto výnimky skontrolujte model pravidiel podporovaný klientom a požiadavky organizácie. Spýtajte sa, čo ďalšie komponent používa, a či pravidlo, ktoré sa chystáte napísať, možno vyjadriť voči cieľom namiesto voči zdieľanému procesu.

Ak požiadavku nemožno vôbec vyjadriť ako hranicu aplikácie, politika založená na cieľoch alebo iný schválený návrh môžu byť zrozumiteľnejšie a bezpečnejšie než rastúci zoznam výnimiek pre pomocníkov.

Testujte celý pracovný postup, nie zlyhávajúci krok

Po podporovanej zmene spustite zamýšľanú úlohu s novou požiadavkou od začiatku do konca. Potom spustite iný pracovný postup, ktorý používa zdieľanú komponentu, pretože práve tam sa široké obchádzanie prejaví. Oprava, ktorá spraví prvý a ticho rozbije druhý, nie je oprava. Uchovajte oba výsledky v tikete a druhý pracovný postup výslovne pomenujte, aby ho recenzent mohol zopakovať.

Udržujte test malý a opakovateľný: rovnaký cieľ, rovnaký účet, rovnaké podmienky. Ak druhý pracovný postup nie je zdokumentovaný, spýtajte sa jeho vlastníka, na čom závisí, skôr než rozhodnete, že zmena je bezpečná.

Nechajte dôvod, nie zoznam mien

Zdokumentujte komponentu, pracovný postup, ktorému slúži, a dôvod jej vylúčenia. Zoznam mien pomocníkov bez pripojeného účelu sa počas dvoch vydaní stane neudržiavateľným a ďalší inženier pri upratovaní odstráni nesprávnu položku.

Jeden riadok na výnimku stačí: čo bez nej zlyhá, kto ten pracovný postup vlastní a kedy bol naposledy overený. Tieto tri polia menia záhadný zoznam na politiku, ktorú niekto dokáže obhájiť.